1/14
Procedimiento Nº: PS/00065/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: En fecha 27/06/2019 tiene entrada en la Agencia Española de Protección
de Datos (AEPD) una reclamación presentada por Don A.A.A. (en lo sucesivo, el
reclamante) contra la asociación CIEGOS ESPAÑOLES CATÓLICOS ORGANIZADOS
con NIF R5000907E (en lo sucesivo la reclamada o CECO).
La reclamación versa sobre el formulario de solicitud para el alta y baja de sus
asociados que CECO comenzó a utilizar en 2019. Este formulario, que fue aprobado
por la Junta Directiva de la entidad reclamada, en opinión del reclamante, miembro de
la asociación, no se adecúa a la normativa de protección de datos de carácter
personal. Añade el reclamante que el formulario de solicitud de alta empleado en 2018
tampoco era respetuoso con las normas que regulan el derecho a la protección de
datos de carácter personal, y pide a la AEPD que “inste a CECO a elaborar un modelo
de solicitud de alta y baja de socios que cumpla con la legislación española en materia
de protección de datos de carácter personal y de derechos de imagen”.
Aporta con su reclamación una copia de los siguientes documentos:
- Como anexo 1, un ejemplar del formulario de solicitud de alta, que lleva el ana-
grama de la asociación reclamada, y en el que, bajo la rúbrica “Solicitud de alta
en CECO” “Documento a la atención del Secretario de la asociación de Ciegos
Españoles Católicos (CECO)”, incluye espacios para los datos identificativos de
una persona, en particular los relativos al nombre, apellidos, NIF y a la Diócesis
a la que pertenece. Posteriormente, el documento indica que la persona así
identificada “solicita por el presente documento pertenecer como miembro de
la asociación de Ciegos Españoles Católicos (CECO). A continuación, dice:
“Seguidamente se procede a dar los datos necesarios para la inscripción”. Es-
tos datos son la dirección postal, con indicación de la localidad, provincia y có-
digo postal; la fecha de nacimiento; los teléfonos fijo y móvil, la dirección elec-
trónica y el “sistema de lectoescritura”. (El subrayado es de la AEPD)
En párrafo independiente incluye esta leyenda: “El solicitante de esta inscrip-
ción, tiene constancia que los datos que se reflejan en esta inscripción serán
manipulados por la asociación de Ciegos Españoles Católicos (CECO) la cual
se hace responsable del buen uso de los mismos”.
Y añade: “..., autoriza a la asociación de Ciegos Españoles Católicos (CECO)
a poder manipular su imagen en cualquier acto que la asociación realice y que
tiene consciencia que ese material (Grabaciones, fotos, videos…) formará par-
te del archivo de la asociación”. Debajo se recaba la “Firma del solicitante”.
- Como anexo II aporta una copia del formulario de solicitud de alta que la recla-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/14
mada utilizó en el año 2018. Con la rúbrica “Ficha de miembro de CECO” se re-
cogen los siguientes datos: la Diócesis de la que es miembro; las fechas de
alta y baja; el nombre y apellidos; el domicilio, con indicación de la localidad,
provincia y C.P.; los teléfonos fijo y móvil; el DNI; el correo electrónico; la fecha
de nacimiento; la profesión y la discapacidad que sufre la persona. Seguida-
mente se incluye esta leyenda y debajo de ella se solicita la firma del interesa-
do: “Protección de Datos. En cumplimiento de lo dispuesto en la Ley Orgánica
15/1999, se informa que los datos personales obtenidos mediante la
cumplimentación de este formulario van a ser incorporados, para su
tratamiento, en un fichero automatizado. De acuerdo con lo previsto en la
citada Ley Orgánica el interesado/a puede ejercitar los derechos de acceso,
rectificación, cancelación y oposición de los datos obtenidos en el presente
formulario en cualquier momento.”
SEGUNDO: A la vista de la reclamación, la AEPD, en el marco del expediente E/
8567/2019, mediante escrito de fecha 26/09/2019, dio traslado de ella a la reclamada y
le solicitó información sobre los hechos denunciados. La notificación se efectuó a
través de correo postal. El documento de la S.E. Correos y Telégrafos, S.A.E., “Prueba
de entrega”, que obra en el expediente, acredita que la reclamada recibió la
notificación el 01/10/2019.
El 09/10/2019 tiene entrada en la AEPD la respuesta de la reclamada con la que
anexa nueve documentos. Declara que, como puede comprobarse “ha procurado en
todo momento acomodarse a aquello que la legislación exigía en cada caso”, de ahí
que haya sido “necesario redactar una nueva solicitud acorde con la nueva norma y
pedir a todos los miembros ya inscritos en CECO la firma de la nueva solicitud”.
Los documentos remitidos son los siguientes:
a.- Como anexo 1, la “Ficha de miembro de CECO”, documento que también aportó el
reclamante y que se ha descrito en el Antecedente primero anexo II, descripción que
damos por reproducida.
b.- Como anexo 2, se aporta un documento que la reclamada identifica como “el
nuevo modelo de solicitud de alta realizado tras la aprobación de la Ley de protección
de datos de 2018…”. Este documento es el mismo que remitió el reclamante y que se
describe en el Antecedente Primero como anexo I; descripción que damos aquí por
reproducida.
c.- El anexo 3 es la carta de bienvenida que la reclamada manifiesta que envía a los
nuevos asociados. De este documento, transcribimos por su interés los párrafos
antepenúltimo y penúltimo:
“Al rellenar la solicitud de inscripción …nos distes permiso para manipular tus
datos, imagen, sonido...todo ello lo puedes modificar cuando lo creas conveniente o
sufra alguna alteración”.
“A la hora de cualquier comunicación con nosotros dispones de los siguientes
canales. Correo electrónico: [email protected]. Teléfono corporativo…”
d.- El anexo 4 recoge la consulta que el presidente de la asociación reclamada dirigió
al Gabinete Jurídico de la AEPD en abril de 2019. La consulta se formuló en los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/14
siguientes términos y no consta en esta Agencia que con el referido escrito la
reclamada hubiera remitido al Gabinete Jurídico de la AEPD algún documento anexo:
“Una persona física que no firme el documento que permite que la asociación pueda
utilizar sus datos ¿puede ser miembro de pleno derecho de dicha asociación?”.
e.- El anexo 5 se corresponde con el Informe que emitió la AEPD respondiendo a la
consulta de la reclamada.
f.- Identificado como anexo 6 se aporta el escrito de fecha 21/06/2019 que el
***CARGO.1 (…) dirigió a la Junta Directiva de la asociación reclamada exponiendo
las irregularidades apreciadas en el formulario que debe cumplimentar quien pretende
ser admitido como asociado, en síntesis, las siguientes: (i) el documento no informa de
forma expresa e inequívoca de la existencia de un fichero o tratamiento de datos ni de
la finalidad de la recogida.(ii) en él no se garantiza el derecho que asiste al socio a
acceder, rectificar, cancelar u oponerse al tratamiento de sus datos a tenor de la LOPD
y norma reglamentaria de desarrollo. (iii) no consta en el documento la identidad y la
dirección del responsable del tratamiento. (iv) no informa de que, en ninguna
circunstancia se cederán los datos del socio sin el preceptivo y expreso
consentimiento del titular de los datos. (v) no se establece un procedimiento sencillo y
gratuito para que el asociado revoque el consentimiento. (vi) el consentimiento para el
tratamiento de la imagen tiene que hacerse en un documento distinto de aquel en el
que se consiente el tratamiento de sus datos personales, solicitando la autorización en
cada caso.
g.- Anexo 7: Escrito del ***CARGO.2 dirigido al ***CARGO.1 a través del que acusa
recibo de su escrito.
h.- El anexo 8 es la carta, de fecha 04/10/2019 dirigida al ***CARGO.1 que, en
respuesta al escrito que presentó el 21/06/2019, le remitió el ***CARGO.2 a tenor de
los acuerdos adoptados por la Junta General los días 2 y 3 de octubre de 2019. En la
carta se afirma que “…tras la consulta elevada …a la Agencia de Protección de Datos,
que ha sido respondida el 8 de mayo de 2019, no puede más que concluirse que el
documento de alta en CECO es plenamente lícito ya que claramente se nos indica
que: <<En consecuencia, el tratamiento de datos personales planteado, será lícito de
acuerdo con lo establecido en el apartado 1b) del artículo 6 del RGPD, al tratarse de
una asociación y en la medida en que cada socio ingrese en la forma legalmente
establecida>>”. La reclamada concluye en ese escrito que no puede hablarse de
anomalías en el documento de alta de CECO pues, dice, “la Agencia de Protección de
Datos ha declarado lícito todo el procedimiento”.
i.- El último documento aportado (anexo 9) es “el nuevo modelo de solicitud de alta”
-esto es, el modelo aprobado en el año 2019 sobre el que versa la presente
reclamación- “cumplimentado y firmado por D. A.A.A.”. Según explicaciones de la
reclamada este documento fue entregado en nombre del reclamante por otro miembro
de la asociación el 28/04/2019. Añade además que el reclamante es miembro de
CECO desde el 06/04/2018.
TERCERO: A la vista de la documentación en poder de la AEPD, remitida tanto por el
reclamante como por la reclamada, de conformidad con lo dispuesto en el artículo 65.5
de la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/14
Digitales (LOPDGDD), en fecha 26/02/2020 se acuerda admitir a trámite la presente
reclamación.
CUARTO: Con fecha 3 de junio de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la
presunta infracción del artículo 13 del Reglamento (UE) 2016/679 (Reglamento
General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 de
la citada norma.
QUINTO: Notificado el acuerdo de inicio, la reclamada, en fecha 11/06/2020, presentó
escrito de alegaciones manifestando lo siguiente:
“PRIMERA.- Que CECO es una asociación sin ánimo de lucro dedicada
fundamentalmente a la promoción espiritual y moral de las personas con discapacidad
visual, atendiendo a personas ciegas enfermas o ingresadas en residencia. CECO
desde su constitución ha dedicado sus mejores esfuerzos y voluntades al
cumplimiento de la normativa que pudiera resultar aplicable en los diversos ámbitos,
incluido la protección de datos personales, habiendo realizado de buena fe todas las
actuaciones que ha considerado necesarias para salvaguardar los derechos de sus
miembros y dar cumplimiento a la normativa aplicable, contando a efectos de la
realización de dicha actividad con medios que han resultado ser claramente
insuficientes y muy limitados. Prueba de la afirmación, como indica la Resolución, es
la circunstancia de que el anterior Presidente de la asociación dirigió una consulta al
Gabinete Jurídico de la AEPD en abril de 2019, que fue oportunamente respondida.
SEGUNDA.- Que una vez que tuvo conocimiento de la reclamación presentada, con
fecha 27 de junio de 2019, en la Agencia de Protección de Datos por uno de sus
asociados, dirigió respuesta a este organismo acreditando que dichas solicitudes
destinadas a la obtención de datos de sus asociados se habían modificado al objeto
de que su contenido fuera acorde con la nueva norma con intención de enviar a todos
los miembros ya inscritos en CECO autorización para el tratamiento de sus datos
personales.
TERCERA.- Que no obstante lo anterior, presentado dicho escrito ante la Agencia
Española de Protección de Datos, se realizó una consulta a una persona
especializada en tales cuestiones quién colaboró en la redacción de un nuevo modelo
de ficha destinada a solicitar los datos personales de todas aquellas personas que
manifestarán su deseo de pasar a formar parte de la asociación.
CUARTA.- Que con fecha 3 de diciembre de 2019, dicha ficha en su nueva redacción
dando cumplimiento a lo señalados en el artículo 13 del RGPD fue remitida a todos los
coordinadores de CECO con el fin de obtener su consentimiento expreso tanto
respecto del tratamiento de los datos personales como en lo que se refiere a las
imágenes. Se adjunta al presente escrito como documento Anexo nº 1 correo
electrónico remitido y como documento Anexo nº 2 modelo de ficha que acompaña al
citado correo.
QUINTA.- Que elaboradas estas nueva ficha se ha subsanado toda posible omisión de
la información detallada en el artículo 13 del RGPD y de la que pudiera derivar un
incumplimiento del citado artículo 13.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/14
SEXTA.- Que, no obstante lo anterior, la Resolución recibida que da inicio al
procedimiento sancionador menciona cuestiones que se han considerado relevantes
de cara a incrementar aún más la transparencia del tratamiento de los datos
solicitados a los miembros de la asociación:
a) La validez del particular negocio jurídico en virtud del cual se adquiere la condición
de asociado exige que quien vaya a serlo conozca y acepte previamente los Estatutos
de la asociación. En consecuencia, el tratamiento de datos personales planteados
será
licito de acuerdo con lo establecido en el apartado 1.b) del artículo 6 del RGPD al
tratarse de una asociación y en la medida en cada socio ingrese de la forma
legalmente establecida en la organización aceptando los correspondientes estatutos.
(Ver pág 8
de la Resolución).
b) Inclusión del número de identificación fiscal de CECO.
c) Referencia en la propia ficha a las consecuencias derivadas de la no autorización
por
parte del solicitante al tratamiento de sus datos personales.
En base a lo anterior, se ha elaborado una nueva ficha adjunta a este escrito como
Anexo nº 3 que será utilizada en el futuro.
SEPTIMA. – Que reconoce que el formulario de solicitud de alta objeto de la
reclamación que da inicio a este procedimiento sancionador, no facilitaba toda la
información exigida por el artículo 13 del RGPD, pero que como se ha expuesto en los
apartados anteriores esta asociación ha realizado con posterioridad notables
esfuerzos para su adaptación a efectos del cumplimiento de todos y cada uno de los
requisitos detallado en el mencionado en el artículo, y sin perjuicio de que
adicionalmente se consideren las especiales circunstancias que concurren en esta
entidad haciendo al mismo tiempo una interpretación amplia del criterio que inspira el
Considerando 148 del RGPD, según el cual se podrá imponer la sanción de
apercibimiento cuando la imposición de una multa constituya una carga
desproporcionada que sin ninguna duda provocaría el fin de la actividad de la
asociación con el consiguiente perjuicio a todos sus miembros. Indica también el
mencionando Considerando que debe no obstante prestarse especial atención a la
naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las
medidas tomadas para paliar los daños y perjuicios sufridos, al grado de
responsabilidad o a cualquier infracción anterior pertinente.
HECHOS PROBADOS
PRIMERO: La reclamación se concreta en el formulario de solicitud para el alta y baja
de sus asociados que CECO comenzó a utilizar en 2019, que, según el reclamante,
miembro de la asociación, no se adecúa a la normativa de protección de datos de
carácter personal.
El formulario de solicitud de alta, al que se refiere el reclamante, incluye espacios para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/14
los datos identificativos de una persona, en particular los relativos al nombre, apellidos,
NIF y a la Diócesis a la que pertenece. Posteriormente, el documento indica que la
persona así identificada “solicita por el presente documento pertenecer como miembro
de la asociación de Ciegos Españoles Católicos (CECO). A continuación, dice: “Segui-
damente se procede a dar los datos necesarios para la inscripción”. Estos datos son la
dirección postal, con indicación de la localidad, provincia y código postal; la fecha de
nacimiento; los teléfonos fijo y móvil, la dirección electrónica y el “sistema de lectoes-
critura”. (El subrayado es de la AEPD)
En párrafo independiente incluye esta leyenda: “El solicitante de esta inscripción, tiene
constancia que los datos que se reflejan en esta inscripción serán manipulados por la
asociación de Ciegos Españoles Católicos (CECO) la cual se hace responsable del
buen uso de los mismos”.
Y añade: “..., autoriza a la asociación de Ciegos Españoles Católicos (CECO) a poder
manipular su imagen en cualquier acto que la asociación realice y que tiene conscien-
cia que ese material (Grabaciones, fotos, videos…) formará parte del archivo de la
asociación”. Debajo se recaba la “Firma del solicitante”.
SEGUNDO: La reclamada presenta junto con sus alegaciones, el documento de la
solicitud de Alta en CECO, en la que, tras la recogida de los datos personales, se
incluye información sobre el responsable del tratamiento; finalidad; legitimación;
destinatarios de los datos; derechos que se pueden ejercer, dirección a la que dirigirse,
añadiendo la posibilidad de presentar una reclamación ante la AEPD.
Al final del documento, se solicita consentimiento para la realización y utilización de
imágenes, sonido y vídeo exclusivamente con las finalidades arriba indicadas y para
poder ser publicados en:
· La página web y perfiles en redes sociales de la Asociación.
· Filmaciones destinadas a difusión de las actividades de la Asociación.
· Fotografías para revistas o publicaciones de ámbito relacionado con la Asociación.
A continuación, hay dos casillas, sin premarcar, con las opciones: Autorizo/No Autorizo.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de
la Agencia Española de Protección de Datos es competente para resolver este
procedimiento.
II
El artículo 85, Terminación en los procedimientos sancionadores, de la Ley 39/2015,
de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas, en su apartado primero, establece lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/14
1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
La reclamada indica expresamente lo siguiente en su escrito de alegaciones al
acuerdo de inicio: “Que reconoce que el formulario de solicitud de alta objeto de la
reclamación que da inicio a este procedimiento sancionador, no facilitaba toda la
información exigida por el artículo 13 del RGPD, pero que como se ha expuesto en los
apartados anteriores esta asociación ha realizado con posterioridad notables
esfuerzos para su adaptación a efectos del cumplimiento de todos y cada uno de los
requisitos detallado en el mencionado en el artículo.”
III
El artículo 5 del RGPD relativo a los principios que han de regir el tratamiento de datos
personales menciona entre ellos el de transparencia. El apartado 1 del precepto dispo-
ne: “Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»)”
Manifestación del principio de transparencia es la obligación que incumbe a los res-
ponsables del tratamiento de informar, en los términos del artículo 13 del RGPD, al ti-
tular de los datos personales cuando éstos se obtengan directamente del interesado:
“1. Cuando se obtengan de un interesado datos personales relativos a él, el res-
ponsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la
información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su re-
presentante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base ju-
rídica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intere-
ses legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales,
en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un
tercer país u organización internacional y la existencia o ausencia de una deci-
sión de adecuación de la Comisión, o, en el caso de las transferencias indica-
das en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, refe-
rencia a las garantías adecuadas o apropiadas y a los medios para obtener
una copia de estas o al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del trata-
miento facilitará al interesado, en el momento en que se obtengan los datos persona-
les, la siguiente información necesaria para garantizar un tratamiento de datos leal y
transparente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/14
a) el plazo durante el cual se conservarán los datos personales o, cuando no
sea posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso
a los datos personales relativos al interesado, y su rectificación o supresión, o
la limitación de su tratamiento, o a oponerse al tratamiento, así como el dere-
cho a la portabilidad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consenti-
miento en cualquier momento, sin que ello afecte a la licitud del tratamiento ba-
sado en el consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o
un requisito necesario para suscribir un contrato, y si el interesado está obliga-
do a facilitar los datos personales y está informado de las posibles consecuen-
cias de que no facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a
que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, infor-
mación significativa sobre la lógica aplicada, así como la importancia y las con-
secuencias previstas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos per-
sonales para un fin que no sea aquel para el que se recogieron, proporcionará al inte-
resado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y
cualquier información adicional pertinente a tenor del apartado 2.
4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la me-
dida en que el interesado ya disponga de la información.”
El artículo 5.1.a) del RGPD enuncia el principio de «licitud, lealtad y transparencia»,
principio en el que incide el Considerando 39: “Todo tratamiento de datos personales
debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se
están recogiendo, utilizando, consultando o tratando de otra manera datos personales
que les conciernen, así como la medida en que dichos datos son o serán tratados. El
principio de transparencia exige que toda información y comunicación relativa al
tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se
utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la
información de los interesados sobre la identidad del responsable del tratamiento y los
fines del mismo y a la información añadida para garantizar un tratamiento leal y
transparente con respecto a las personas físicas afectadas y a su derecho a obtener
confirmación y comunicación de los datos personales que les conciernan que sean
objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos,
las normas, las salvaguardias y los derechos relativos al tratamiento de datos
personales, así como del modo de hacer valer sus derechos en relación con el
tratamiento. En particular, los fines específicos del tratamiento de los datos personales
deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida.
[…]”
Por su parte, el Considerando 60 vincula el deber de información con el principio de
transparencia, al establecer que “Los principios de tratamiento leal y transparente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/14
exigen que se informe al interesado de la existencia de la operación de tratamiento y
sus fines. El responsable del tratamiento debe facilitar al interesado cuanta
información complementaria sea necesaria para garantizar un tratamiento leal y
transparente, habida cuenta de las circunstancias y del contexto específicos en que se
traten los datos personales. Se debe además informar al interesado de la elaboración
de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se
obtienen de los interesados, también se les deben informar si están obligados a
facilitarlos y de las consecuencias en caso de que no lo hicieran […]”. En este orden,
el artículo 12.1 del RGPD regula las condiciones para asegurar su eficaz
materialización y el artículo 13 concreta qué información debe facilitarse cuando los
datos se obtengan del interesado.
III
La reclamación que examinamos versa sobre la adecuación a la normativa de protec-
ción de datos del formulario que la reclamada utiliza desde 2019 para recoger los da-
tos personales de quienes desean incorporarse a la asociación como asociados.
Este documento obra en el expediente por duplicado, aportado tanto por el reclamante
como por la reclamada. La reclamada ha manifestado que el formulario fue aprobado
por su Junta General en el año 2019 y que a través de él se perseguía dar cumpli-
miento a las nuevas obligaciones que la LOPDGDD impuso a los responsables del tra-
tamiento de datos personales. Obligaciones que, como se ha indicado, vienen impues-
tas realmente por el RGPD, artículo 13.
El documento en cuestión, que lleva el nombre de “Solicitud de Alta en CECO”, se des-
cribe en el Hecho primero, anexo I, de este acuerdo de inicio y además se hace refe-
rencia a él en el Hecho Segundo apartado b).
A tenor del formulario de 2019 elaborado y empleado por la reclamada, la persona que
facilita sus datos “solicita ...pertenecer como miembro de la asociación de Ciegos Es-
pañoles Católicos (CECO)” y, más adelante, el documento dice: “...se procede a dar
los datos necesarios para la inscripción”. Por medio del documento se recaban, ade-
más del nombre, apellidos y NIF, los siguientes datos personales: la Diócesis a la que
pertenece el titular de los datos; la dirección postal, con indicación de localidad, provin-
cia y código postal; la fecha de nacimiento; los teléfonos fijo y móvil; la dirección elec-
trónica y el “sistema de lectoescritura”.
Así pues, el examen del formulario evidencia que, a través de él, la reclamada recoge
la voluntad de una persona física de integrarse en la asociación y, con esta finalidad,
recaba sus datos personales. Declaración de voluntad del solicitante que es uno de los
elementos que conforman el especial negocio jurídico en virtud del cual se adquiere la
condición de asociado.
A propósito de esta cuestión -la adquisición de la condición de asociado, a excepción
de los fundadores de la asociación- el Tribunal Constitucional ha expresado reiterada-
mente que se produce por “un acto de integración que constituye un especial negocio
jurídico por el que el nuevo asociado, aceptando previamente los Estatutos cuyo cono-
cimiento es preceptivo y previo, se integra en la asociación” (STC 218/1988, de 11 de
noviembre). La validez de ese particular negocio jurídico en virtud del cual se adquiere
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/14
la condición de asociado exige que quien vaya a serlo conozca y acepte previamente
los Estatutos de la asociación. Es esto mismo lo que se informó a la asociación recla-
mada en el Informe emitido por la AEPD el 30/04/2019 en el que se decía:
<<En consecuencia, el tratamiento de datos personales planteado será lícito de acuer-
do con lo establecido en el apartado 1.b) del artículo 6 del RGPD, al tratarse de una
asociación, y en la medida en que cada socio ingrese de la forma legalmente estable-
cida en la organización aceptando los correspondientes estatutos>>
El artículo 13 del RGPD dispone que cuando los datos personales se recaben de un
interesado -lo que acontece a través del formulario o documento de CECO objeto de la
reclamación- el responsable del tratamiento está obligado, en ese preciso momento,
esto es, cuando los obtiene, a informar al titular de los datos. Información que abarca
diversas cuestiones que detalla el artículo 13 del RGPD.
En el documento de CECO que hemos examinado debería haberse incluido toda la in-
formación que el precepto exige. Sin embargo, únicamente se facilita el nombre de la
asociación y su acrónimo, y este párrafo: “El solicitante de esta inscripción, tiene cons-
tancia que los datos que se reflejan en esta inscripción serán manipulados por la aso-
ciación de Ciegos Españoles Católicos (CECO) la cual se hace responsable del buen
uso de los mismos”.
La reclamada, en su condición de responsable del tratamiento, conforme al artículo 13
RGPD estaba obligada a incluir en el formulario mediante el que recaba los datos de
terceros diversa información de la que ha prescindido total y absolutamente. En parti-
cular, está obligada a informar sobre los fines del tratamiento a que se destinarán los
datos personales recogidos. Tampoco informa, como era su obligación, de la base jurí-
dica del tratamiento; ni de los destinatarios de los datos personales; del plazo durante
el cual conservará los datos personales o, no siendo posible establecer un plazo, so-
bre los criterios utilizados para determinarlo. Omite que el titular de los datos ostenta el
derecho a solicitar al responsable del tratamiento el acceso a sus datos, la rectifica-
ción, supresión, limitación de su tratamiento, a oponerse al tratamiento y a la portabili-
dad de los datos. Tampoco informa del derecho a presentar una reclamación ante la
autoridad de control. No informa de si se van a adoptar decisiones automatizadas a las
que se refiere el artículo 22, apartados 1 y 4 del RGPD, incluida la elaboración de per-
files, y, si fuera así, sobre la lógica aplicada y sobre la importancia y consecuencias
previstas de dicho tratamiento para el interesado.
En definitiva, el formulario de solicitud de alta que la reclamada ha utilizado desde
2019 hasta la modificación del mismo producida tras la recepción de esta reclamación,
para recabar datos personales no facilitaba la información exigida por el artículo 13 del
RGPD.
El formulario empleado vulneraba el artículo 13 del RGPD conducta que es subsumi-
ble en el artículo 83.5 del RGPD que dispone: “Las infracciones de las disposiciones
siguientes se sancionarán de acuerdo con el apartado 2, con multas administrativas
de 20.000.000 de Eur como máximo o, tratándose de una empresa, de una cuantía
equivalente al 4% como máximo del volumen de negocio total anual global del ejerci-
cio financiero anterior, optándose por la de mayor cuantía:
a) (...)
b) Los derechos de los interesados a tenor de los artículos 12 a 22;”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/14
A los meros efectos de prescripción, el artículo 72.1.h) de la LOPDGDD califica de muy
grave “La omisión del deber de informar al afectado acerca del tratamiento de sus da-
tos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE)
2016/679 y 12 de esta Ley Orgánica”. El plazo de prescripción de las infracciones muy
graves previsto en la Ley Orgánica 3/2018 es de tres años.
IV
El artículo 58.2 del RGPD establece:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
a) (..)
b) sancionar a todo responsable o encargado de tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;
c)...
d) ordenar al responsable o encargado de tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
(...)
i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar
de las medidas mencionadas en el presente apartado, según las circunstancias de
cada caso particular”.
En el presente caso, atendidas las especiales circunstancias que concurren en la enti-
dad responsable de la infracción y haciendo una interpretación amplia del criterio que
inspira el Considerando 148 del RGPD, según el cual cuando la multa que probable-
mente se impusiera constituyese una carga desproporcionada, procede imponer la
sanción de apercibimiento por la infracción del artículo 13 del RGPD, consecuencia de
la recogida de datos con el modelo del año 2019, que no incluía la información esta-
blecida en el mencionado artículo.
V
La reclamada acompaña, junto con sus alegaciones, la nueva cláusula de protección
de datos que se incluye en la solicitud de alta como miembro de la asociación. La in-
formación que se facilita en la misma recoge todos los apartados que establece el artí-
culo 13 del RGPD ya referido.
Asimismo, y al final de la solicitud de alta, incluye un apartado específico para recabar
el consentimiento del solicitante para tratar su imagen. En este caso, la base jurídica
para el tratamiento de la imagen de la persona que solicita ser miembro de la asocia-
ción no deriva de su condición de miembro de aquella -esto es, del artículo 6.1.b) del
RGPD- sino del consentimiento otorgado para esa específica finalidad (artículo 6.1.a
del RGPD).
El RGPD (artículo 3.11) define el consentimiento del interesado como “toda manifesta-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/14
ción de voluntad, libre, específica, informada e inequívoca por la que el interesado
acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento
de datos personales que le conciernen” y en su artículo 7 detalla las condiciones que
el consentimiento debe reunir para que sea válido. Entre ellas, el punto 2 del precepto
dice:
“Si el consentimiento del interesado se da en el contexto de una declaración es-
crita que también se refiera a otros asuntos, la solicitud de consentimiento se presen-
tará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible
y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna
parte de la declaración que constituya infracción del presente Reglamento”.
Sobre ese particular puede traerse a colación el Considerando (43) del RGPD que
dice:
“(...). Se presume que el consentimiento no se ha dado libremente cuando no
permita autorizar por separado las distintas operaciones de tratamiento de datos per-
sonales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un
contrato, incluida la prestación de un servicio, sea dependiente del consentimiento,
aun cuando este no sea necesario para dicho cumplimiento. (El subrayado es de la
AEPD)
El antiguo formulario de CECO que acompañaba la reclamación “no permitía” a quien
solicitaba ser miembro de la asociación y facilitaba con esa finalidad sus datos perso-
nales “negarse al tratamiento de su imagen”, pues ambas declaraciones tenían un pie
de firma conjunto
Mientras la asociación está legitimada para tratar los datos personales del asociado en
los términos fijados en los Estatutos de la asociación -Estatutos que el solicitante tiene
que conocer y aceptar previamente-, siendo la base jurídica del tratamiento el desarro-
llo de ese particular negocio jurídico en virtud del cual el asociado se integra en la aso-
ciación; para el tratamiento de la imagen la asociación pide expresamente el consenti-
miento del afectado. Son dos declaraciones de voluntad independientes que deben re-
cabarse por separado, lo que implica que cada una de ellas debe poder otorgarse o
denegarse con independencia, sin vincular una a la otra. Trasladado al supuesto anali-
zado, cada una de esas declaraciones debe necesariamente tener su propio pie de fir-
ma. Por otra parte, respecto al tratamiento de la imagen cuyo consentimiento se solici-
ta en la última estipulación del formulario, hemos de señalar que deberá además facili-
tarse la información que exige el artículo 13 RGPD para este tratamiento en particular.
Cualquier tratamiento de imágenes de los asociados que CECO llevara a cabo al am-
parándose en un pretendido consentimiento del titular recabado a través del formulario
examinado, en tanto ese consentimiento carecería de validez, el tratamiento de la ima-
gen constituiría una vulneración del artículo 6.1.a, en relación con el artículo 7,2, del
RGPD.
En la actualidad, en el modelo de alta en la asociación reclamada, se informa separa-
damente del tratamiento de los datos como miembros de la asociación y se solicita el
consentimiento expreso, mediante casillas sin premarcar, para el tratamiento de la
imagen de los socios.
VI
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/14
El reclamado vulneró lo dispuesto en el artículo 13 del RGPD pues el formulario a tra-
vés del cual se recogían los datos de la solicitud de las personas físicas para ser
miembros de la asociación CECO no informaba en los términos exigidos por esa dis-
posición. Esta conducta está tipificada en el artículo 83.5.b del RGPD. Por lo que se
sanciona tal conducta con apercibimiento.
No obstante, la asociación reclamada, al conocer la reclamación y los motivos de la
misma, ha modificado el modelo de alta de los miembros de la asociación, informando
de todo lo requerido por el artículo 13 del RGPD, y ha incluido la solicitud separada de
consentimiento para el tratamiento de la imagen. Por lo que no se requieren medidas
correctoras.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de gradua-
ción de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a ASOCIACIÓN DE CIEGOS ESPAÑOLES CATÓLICOS OR-
GANIZADOS, con NIF R5000907E, por una infracción del Artículo 13 del RGPD,
tipificada en el Artículo 83.5.b) del RGPD, una sanción de apercibimiento.
SEGUNDO: NOTIFICAR la presente resolución a ASOCIACIÓN DE CIEGOS ESPA-
ÑOLES CATÓLICOS ORGANIZADOS.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los inte-
resados podrán interponer, potestativamente, recurso de reposición ante la Directora
de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde
el día siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicio-
nal cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-
administrativa, en el plazo de dos meses a contar desde el día siguiente a la notifica-
ción de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesa-
do manifiesta su intención de interponer recurso contencioso-administrativo. De ser
éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Re-
gistro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a
través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-adminis-
trativo en el plazo de dos meses desde el día siguiente a la notificación de la presente
resolución, daría por finalizada la suspensión cautelar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/14
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es